Adresse e-mail devinée : ce que la CNIL autorise vraiment
La réponse courte
Oui, reconstituer l’adresse professionnelle d’un prospect reste possible sans son accord préalable : la CNIL l’a confirmé le 16 octobre 2026. Non, le fait que son nom et le format d’adresse de son employeur circulent sur Internet ne vous autorise pas tout : il faut un intérêt réel à la contacter, un message lié à son métier, et deux garanties concrètes. Et qui s’oppose sort de votre base immédiatement, sans avoir à se justifier.
En bref
- Public visé : dirigeants de TPE et de PME qui prospectent par courriel, indépendants, commerciaux, formateurs et médiateurs numériques.
- Enjeu : la CNIL dit enfin dans quel cadre on peut deviner une adresse du type prénom.nom. C’est la pratique la plus répandue de la prospection B2B, et elle n’avait aucun mode d’emploi officiel.
- Chiffre clé : 10 décisions de sanction prononcées par la CNIL en 2025 pour la seule prospection, commerciale ou politique, sur 83 sanctions au total.
- Temps de lecture : 8 minutes.
1. Ce que la CNIL a publié le 16 octobre
La scène est banale. Vous repérez le nom d’une responsable achats sur le site d’une entreprise, vous voyez qu’un collègue à elle signe en prénom.nom@entreprise.fr, et vous en déduisez la sienne. Elle ne l’a jamais publiée. Vous venez pourtant de l’obtenir.
Cette pratique porte un nom : la reconstitution d’adresse électronique professionnelle. Le 16 octobre 2026, la CNIL lui a consacré deux fiches d’un coup, l’une pour les organismes, l’autre pour les personnes concernées. Deux textes courts, mais c’est la première fois que l’autorité française décrit explicitement ce geste et pose ses conditions.
Le calendrier n’est pas un hasard : trois jours plus tard, le 19 octobre, la CNIL remettait en ligne son webinaire commun avec la DGCCRF sur le nouveau régime de la prospection téléphonique, celui qui a basculé le 11 août 2026. L’autorité reprend, canal par canal, les habitudes commerciales que personne n’avait vraiment écrites.
2. « C’est public, donc c’est libre » : la phrase qui tombe
C’est l’argument que l’on entend partout, et la CNIL l’écarte en une ligne. Le fait que les données utilisées pour reconstituer une adresse soient accessibles sur Internet, écrit-elle, ne dispense pas les organismes de respecter les règles applicables.
Le fait que les données soient accessibles sur Internet ne dispense pas les organismes de respecter les règles applicables.
CNIL, 16 octobre 2026
La mécanique surprend. L’adresse que vous fabriquez n’existait nulle part avant que vous ne la calculiez : en l’assemblant, vous créez une donnée personnelle nouvelle, puisqu’elle identifie une personne physique. Vous ne recopiez pas une information, vous en produisez une.
Second malentendu : « le B2B n’est pas concerné par le RGPD ». Faux. Une adresse nominative, même strictement professionnelle, désigne un être humain. Ce qui change en B2B, ce n’est pas l’application du règlement, c’est la base juridique mobilisable.
3. L’intérêt légitime, et ce qu’il exige vraiment
La bonne nouvelle est substantielle : la CNIL confirme que la reconstitution peut reposer sur l’intérêt légitime, donc sans consentement préalable. Mais l’autorité assortit cette permission de conditions précises.
L’opportunité, si vous la jouez proprement
Aucune démarche préalable, aucun formulaire, aucun registre à déposer. Une analyse honnête, deux garanties tenues, et votre prospection par courriel reste parfaitement praticable : un cadre bien plus confortable que celui du téléphone vers les particuliers.
Trois exigences se dégagent. Un intérêt réel et légitime à contacter la personne : pas une liste constituée « au cas où », mais une raison identifiable de s’adresser à elle en particulier. Une vérification, au cas par cas, que le traitement ne porte pas une atteinte disproportionnée aux droits des personnes. Et des garanties effectives, détaillées plus loin.
Un point casse une facilité répandue. Beaucoup d’entreprises fondent déjà leur prospection B2B sur l’intérêt légitime et en concluent que la reconstitution d’adresse suit automatiquement. La CNIL répond que cet alignement n’est ni automatique ni systématique : votre base juridique globale ne vous dispense pas de regarder le cas particulier.
4. Le test qui décide : à quoi la personne pouvait-elle s’attendre ?
C’est le coeur du raisonnement, et ce qui le rend opérationnel. La question n’est pas « cette information est-elle trouvable ? » mais « cette personne pouvait-elle raisonnablement s’attendre à ce qu’on reconstitue son adresse ? ».
La CNIL donne deux signaux clairs. Une personne qui n’a aucune présence professionnelle en ligne ne peut, en principe, pas s’y attendre. Une personne qui a pris des mesures pour dissimuler ses coordonnées non plus. Dans ces deux cas, l’autorité demande de s’abstenir, sauf à pouvoir recueillir le consentement de l’intéressé.
| Situation du prospect | Ce que vous pouvez faire | Le réflexe à avoir |
|---|---|---|
| Fonction et employeur visibles, profil professionnel actif en ligne | Reconstitution possible sur l’intérêt légitime | Noter ce que vous avez vu, et quand |
| Aucune présence professionnelle repérable | S’abstenir, sauf consentement | L’absence de trace est une réponse |
| Coordonnées volontairement masquées, ou renvoi vers un simple formulaire | S’abstenir : le choix est explicite | Passer par le canal proposé |
| Adresse générique publiée par l’entreprise (contact@, accueil@) | Rien à reconstituer : elle est déjà publique et non nominative | Le canal le plus simple, et le plus négligé |
| Personne déjà opposée à un précédent contact | Exclusion immédiate, tous usages confondus | Une liste d’exclusion partagée entre vos outils |
5. Les deux garanties à tenir, et elles sont concrètes
L’autorité nomme deux garanties, et ce sont celles sur lesquelles un contrôle se jouerait.
Première garantie : la conservation serrée. Une adresse reconstituée ne se garde que si un premier contact effectif a lieu dans un délai raisonnable. Traduction pratique : les adresses fabriquées puis jamais utilisées doivent disparaître. L’autorité ne chiffre pas ce délai, ce qui invite à l’écrire soi-même dans une règle interne tenable.
Seconde garantie : l’exclusion immédiate en cas d’opposition. La personne qui s’oppose sort de la base sans avoir à donner de justification tenant à sa situation particulière, et l’exclusion vaut au-delà de la seule prospection. C’est le point le plus mal appliqué : un désabonnement coupe souvent la lettre d’information mais laisse l’adresse dans le fichier commercial, l’outil de relance et l’historique du CRM.
Point de vigilance
Une opposition n’est pas un désabonnement. Elle doit vider l’adresse de tous vos outils, y compris le tableur partagé, l’extension du navigateur et la séquence automatisée restée active. La seule trace que vous pouvez légitimement conserver est une liste d’exclusion, dont le rôle est précisément d’empêcher un nouvel envoi.
6. En face, ce que la personne peut désormais faire
La seconde fiche s’adresse au destinataire : c’est elle qui mesure le risque réel.
Vous devez informer la personne aussitôt que possible et de manière claire : vos finalités, la façon dont vous avez obtenu son adresse, ses droits et comment les exercer. Cette mention de l’origine est la plus oubliée, et la plus révélatrice : un courriel qui ne dit pas d’où sort l’adresse laisse le destinataire devant une question sans réponse, point de départ habituel d’une plainte.
La suite est simple. La personne écrit au responsable de traitement ou au délégué à la protection des données ; sans réponse en un mois, ou avec une réponse insatisfaisante, elle saisit la CNIL. Elle peut aussi demander l’accès, la rectification ou l’effacement.
Ce que risque une prospection mal tenue
En 2025, la CNIL a prononcé 83 sanctions pour 486 839 500 euros et 143 mises en demeure ; 10 décisions de sanction concernaient la prospection, commerciale ou politique. Au titre des règles de prospection électronique du code des postes et des communications électroniques, l’amende administrative peut atteindre 375 000 euros pour une personne morale. Et la CNIL publie ses décisions : l’affaire Solocal Marketing Services, sanctionnée en mai 2025, a vu son injonction clôturée par une délibération publiée le 24 septembre 2026, après neuf mois sous astreinte.
7. Vos outils, vos extensions, vos agents : le vrai sujet
Si cette fiche compte, c’est que presque personne ne reconstitue une adresse à la main. Le geste est confié à une extension de navigateur, à un outil d’enrichissement, ou de plus en plus à un agent automatisé chargé de trouver, de deviner et d’envoyer.
Or un outil ne juge pas les attentes raisonnables d’une personne : il repère un format et il le reproduit, y compris pour le contact sans aucune présence en ligne, celui-là même que la CNIL met hors de portée. L’analyse au cas par cas ne se délègue donc pas à l’outil : elle appartient à celui qui l’a configuré. Cinq contrôles suffisent à remettre une routine dans le cadre.
- Noter la preuve de visibilité. Une colonne qui dit où la fonction a été vue, et quand. Colonne vide, contact sorti.
- Exiger un motif. Une ligne qui relie votre offre à son métier. Un champ obligatoire dans le fichier, pas une intention dans la tête du commercial.
- Dire l’origine dans le premier message. Une phrase : adresse déduite du format public de l’entreprise, d’après la fonction affichée sur tel site.
- Purger les adresses dormantes. Une règle écrite, un passage par trimestre : les adresses fabriquées sans contact effectif disparaissent.
- Centraliser les oppositions. Une seule liste d’exclusion, consultée par tous les outils, séquences automatisées et fichiers locaux compris.
Deux limites, pour finir. La fiche ne traite que de la reconstitution, jamais de l’achat de fichiers, qui suit sa propre logique : là, c’est le consentement et sa preuve qui se jouent, et il ne se transmet pas avec le fichier. Et la CNIL n’a fixé aucune durée chiffrée ni publié de liste d’interdictions : les grilles qui circulent sont des traductions pratiques, non officielles.
À retenir
- Deviner une adresse prénom.nom crée une donnée personnelle : le RGPD s’applique, même en B2B.
- Pas besoin de consentement : l’intérêt légitime suffit, si vous avez un intérêt réel à contacter la personne et un message lié à son métier.
- Deux signaux imposent de s’abstenir : aucune présence professionnelle en ligne, ou des coordonnées volontairement masquées.
- Deux garanties : ne garder l’adresse que si un premier contact a lieu dans un délai raisonnable, et exclure immédiatement qui s’y oppose.
- Le premier message doit dire d’où vient l’adresse ; sans réponse en un mois, la personne saisit la CNIL.
La prospection par courriel n’est pas devenue interdite le 16 octobre : elle est devenue vérifiable. Entre l’entreprise qui aspire des milliers d’adresses fabriquées et celle qui en déduit trente parce qu’elle sait pourquoi elle écrit à ces trente personnes, l’écart ne se voit pas dans le fichier. Il se voit dans ce qu’elle sait expliquer si on lui pose la question. Et la demi-journée de réglages que cela demande est la même qui rend les messages meilleurs.
Num Compagny accompagne les TPE, les PME et les indépendants sur la mise en conformité de leur prospection numérique et sur l’usage raisonné des outils d’automatisation et d’intelligence artificielle. Nos formations, du cadre RGPD à la prise en main des outils, sont détaillées sur la page formation professionnelle.
